Консоль Workspace ONE UEM включает различные способы развертывания приложений Win32. Рекомендуемыми методами являются механизм развертывания программного обеспечения (Windows Desktop Software Deployment) и оркестратор для последовательной установки. Метод Product Provisioning, хотя и поддерживается, считается устаревшим для настольных ПК Windows.
Установщики Win32 имеют разные требования в зависимости от типа установки, необходимой для программного обеспечения. Они могут требовать или не требовать административного доступа и могут изменять свое поведение в зависимости от контекста установки. Для эффективного развертывания важно понимать, как работает установщик. Также вы можете самостоятельно перепаковать приложение.
Workspace ONE может устанавливать приложения в системном контексте и в контексте пользователя. Он может устанавливать пользовательские приложения от имени обычного пользователя, если соответствующие права администратора выбраны в параметрах развертывания.
Данное руководство предназначено для ИТ-специалистов и администраторов Workspace ONE в существующих производственных средах. Также будет полезен опыт управления устройствами Windows.
На настольных ПК с Microsoft Windows установщик может запускаться в системном контексте или в контексте пользователя.
Контекст установки:
Device: Команда установки выполняется как System.
User: Команда установки выполняется как User, при необходимости позволяя отображать интерфейс пользователю.
Контекст установки может влиять на поведение установщика. Некоторые установщики могут потребовать ответа на вопрос, предназначена ли установка для всех пользователей или только для текущего пользователя, и в зависимости от ответа установка будет происходить в другом месте.
Если приложение установлено пользователем, но установщик размещает бинарные файлы и ярлыки в папке для всех пользователей/Program Files, то приложение будет доступно другим пользователям. Это важно учитывать в сценарии с несколькими пользователями.
Контекст System
Системный контекст — это контекст, в котором работает операционная система, обладающая полными правами на устройстве. Он не имеет информации о пользователях, не может отображать информацию пользователю в графическом интерфейсе и не имеет доступа к HKCU.
Команда установки унаследует системные права на устройстве, что позволит ей получить доступ к ресурсам с использованием учетной записи "NT AUTHORITY\SYSTEM". Любая попытка доступа к папке или ключу реестра будет оцениваться в соответствии с этой учетной записью и списком управления доступом (ACL), установленным на объекте.
Контекст User
В пользовательском контексте команда установки запускается под учетной записью пользователя, что позволяет отображать интерфейс пользователю и получать доступ к информации и файлам пользователя. Уровень доступа к операционной системе и файлам будет зависеть от прав доступа пользователя.
Если пользователь является обычным, и приложению требуются права, превышающие его права, а административные привилегии не выбраны, установка приложения завершится неудачей из-за отказа в доступе.
В зависимости от требований установщика может потребоваться понимание того, как UAC может повлиять на развертывание приложения.
Как UAC влияет на развертывание приложений
Контроль учетных записей (User Account Control, UAC) — это функция безопасности операционной системы Microsoft Windows. Она основана на принципе, что пользователь или устройство должны иметь возможность вносить определенные изменения в конфигурацию или файлы в операционной системе без дополнительных привилегий, если это не может потенциально повлиять на стабильность или безопасность ОС. В таких случаях требуются административные права, также известные как супер-токены (super tokens).
Супер-токен необходим для изменения защищенных папок, драйверов, системных настроек и прочего. Например, изменение времени требует административных привилегий, так как это может повлиять на системы безопасности.
Защищенные папки включают следующие:
\Program Files\ с подкаталогами
\Windows\system32\
\Program Files (x86)\ с подкаталогами для 64-битных версий Microsoft Windows
Оценка необходимости административных прав
Теперь, когда мы рассмотрели, как Windows реагирует в плане доступа, наш следующий шаг — проанализировать приложение, чтобы определить, будут ли необходимы права администратора.
Как правило, приложения устанавливаются в каталог "Program Files", так как это место по умолчанию. Однако многие приложения могут быть установлены в других местах. Это верно для приложений в пользовательском контексте, которые могут потребовать установки исключительно в области пользователя (т.е. в папке пользователя).
Для установок, связанных с изменением системных настроек или установкой драйверов, требуются права администратора для внесения изменений в важные папки и настройки, так как этого потребует UAC.
Важно четко понимать действия и местоположения установщика, чтобы определить, требуются ли административные права.
Ниже представлена блок-схема, показывающая, требуются ли административные права:
Поведение установки приложений Win32 с использованием ресурсов
Единственный случай, когда установка не работает, это если пользователь является обычным пользователем, а установщику требуются административные привилегии.
Поведение установки приложений Win32 с использованием Product Provisioning
Рекомендуется развертывать приложения Win32 через ресурсы (Resources). Однако, если вы пробовали развертывать приложение через ресурсы, и это вас не устроило, в качестве альтернативного метода вы можете завершить развертывание на своих устройствах с помощью Product Provisioning.
Если вы настраиваете приложения Win32 с использованием Product Provisioning, вы можете воспользоваться следующей таблицей, чтобы понять комбинации установки и запуска манифеста и контекста команды. Вы можете выбрать установку или запуск на системном уровне, уровне пользователя или уровне учетной записи администратора. В зависимости от выбранных параметров ваша установка может различаться.
Обратитесь к таблице, чтобы понять поведение установки приложений Win32 с использованием предоставления продуктов.
Перейдите в раздел Devices > Provisioning > Components > Files/Actions и выберите Add Files/Actions, перейдите на вкладку Manifest и установите Action(s) To Perform = Install/ Run.
Предложения для параметров Retry Count, Retry Interval, Install Timeout для ваших приложений Win32
Значения параметров "Retry Count", "Retry Interval" и "Install Timeout" для приложений Win32 влияют на время, которое система затрачивает на сообщение о неудачном процессе установки. Вы можете изменить значения по умолчанию, чтобы сократить время развертывания.
Значения по умолчанию для этих параметров:
Retry Count — 3 раза
Retry Interval — 5 минут
Install Timeout — 60 минут
работают в следующей последовательности для одного неудачного процесса установки:
Через 3 часа и 15 минут система однократно сообщает о неудачной установке приложения. Затем система устанавливает следующее приложение.
Настройка параметров в зависимости от приложения
Настройте значения, соответствующие приложению.
Пример быстрой установки
Браузерное приложение устанавливается на устройство за четыре минуты. Рассмотрите возможность установки следующих значений для этого приложения:
Retry Count — 2 раза
Retry Interval — 5 минут
Install Timeout — 5 минут
Система сообщает о сбое этого приложения в течение 20 минут. Затем она устанавливает следующее приложение.
Пример медленной установки
Крупное приложение для повышения производительности устанавливается на устройство за 30 минут. Рассмотрите следующие значения для этого приложения:
Retry Count — 3 раза
Retry Interval — 5 минут
Install Timeout — 35 минут
Система может сообщить о сбое этого приложения в течение 120 минут. Затем она устанавливает следующее приложение.
Предложения для параметра Device Restart для ваших приложений Win32
Значения для перезагрузки устройства для приложений Win32 позволяют пользователю отложить перезагрузку устройства и установить крайний срок, до которого пользователь может откладывать перезагрузку. Эти значения позволяют администраторам и конечным пользователям иметь больший контроль над перезагрузками, чтобы предотвратить потерю работы пользователем.
Администраторы могут выбрать принудительную перезагрузку ПК после установки приложения или позволить пользователю отложить перезагрузку на более удобное время.
Перезагрузка устройства помогает настроить следующие параметры:
Предупредить пользователя перед перезагрузкой устройства, чтобы он мог сохранить свои файлы и закрыть приложения.
Предупредить пользователя, когда требуется перезагрузка устройства.
Позволить пользователю отложить перезагрузку устройства и перезапустить его в удобное время.
Workspace ONE Intelligent Hub отображает уведомления о перезагрузке устройства на различных этапах. Уведомление об откладывании позволяет пользователю перезагрузить или отложить перезагрузку. Workspace ONE Intelligent Hub обновляет данные о перезагрузке для откладывания или перезагрузки и показывает это уведомление в соответствии с временем, выбранным пользователем.
Следующая таблица показывает уведомления, отображаемые на различных этапах:
Во время установки приложения
Уведомляет пользователя о необходимости сохранить файлы и закрыть приложение.
После установки приложения
Отображает первое уведомление и сообщает пользователю о перезагрузке системы.
За 48 часов до крайнего срока перезагрузки
Отображает второе уведомление и предупреждает пользователя о принудительной перезагрузке.
За 15 минут до крайнего срока перезагрузки
Отображает третье уведомление и предупреждает пользователя о принудительной перезагрузке.
За 5 минут до крайнего срока перезагрузки
Отображает системные подсказки, указывающие дату и время запланированной принудительной перезагрузки.
Компания VMware на сайте проекта VMware Labs выпустила обновление своего средства Workspace ONE ConQuest 1.2, предназначенного для настройки устройства Meta Quest 2 VR (Firmware v37+) в целях использования с решением VMware Workspace ONE UEM.
С помощью ConQuest, представляющим собой Windows-приложение, администраторы могут запустить его службы на устройстве Meta Quest 2 в режиме разработчика и подсоединить его к Windows-машине через USB-C. Далее будет установлено приложение Workspace ONE Intelligent Hub App под владельцем устройства, затем можно добавить его в Workspace ONE UEM. Пользователь может ввести детали устройства для включения его в инфраструктуру, после чего оно переходит под управление UEM.
Новые возможности Workspace ONE ConQuest 1.2:
Добавлена поддержка ввода учетных записей при массовом добавлении устройств со стороны UEM
Поддержка файла credentials.xml
Поддержка добавления устройств через credentials.bin
Возможность создания пакета staging package в виде zip-файла
Скачать Workspace ONE ConQuest 1.2 можно по этой ссылке.
На сайте проекта VMware Labs появилась очередное полезное Enterprise-администраторам средство - Workspace ONE Policy Analyzer for Windows. Это утилита командной строки, которая позволяет просматривать статус профилей и бейслайнов, назначенных отдельному устройству на базе Windows 10, используя Workspace ONE UEM API.
Данное средство генерирует отчет в формате HTML, который содержит все назначенные политики и бейслайны, а также подсвечивает потенциальные конфликты между ними на уровне данного устройства. Также отдельно выводятся "чистые" политики и бейслайны, которые не содержат конфликтов. В итоге, администратор может использовать эту информацию, чтобы корректно настроить политики для нужных устройств.
Утилита имеет 2 опции запуска из командной стройки:
analyze – анализирует политики конкретного устройства (вам нужен UDID устройства, который можно найти в консоли UEM)
list-devices - выводит список устройств для заданного пользователя в виде отчета разбитого по вкладкам
Пользователь, запускающий утилиту должен иметь следующие разрешения в Workspace ONE UEM:
API/Devices/REST API Devices Read
API/Groups/REST API Groups Read
API/Profiles/Updates Policy Read access
API/Profiles/Rest API Profiles Read
Device Management/Baselines/View Baselines
Groups/View/Organization Group
Groups/View/Organization Group List View
Скачать утилиту Workspace ONE Policy Analyzer for Windows можно по этой ссылке.
На сайте проекта VMware Labs обновилась интересная и полезная многим Enterprise-админстраторам утилита Forklift for Workspace ONE UEM (она же Workspace ONE UEM Workload Migration Tool) - ее третья версия вышла в начале мая. О первой версии этого средства мы писали еще два года назад вот тут.
Forklift for Workspace ONE UEM позволяет провести бесшовную миграцию конфигураций приложений и устройств между различными окружениями Workspace One UEM (например, тестовой средой и производственной). Ее возможности включают в себя:
Миграцию приложений, профилей, сенсоров (Sensors), скриптов объектов Windows 10 Baselines Continuous Delivery pipelines как часть решения для создания/обновления и апгрейда ресурсов из сред разработчиков в производственные среды.
Шаблоны экспортируемых/импортируемых ресурсов в виде контейнеров для быстрого их развертывания в среде UEM.
Forklift for Workspace ONE UEM представляет собой набор из двух связанных контейнеров, вспомогательные скрипты для их запуска, а также Docker Compose file, чтобы обеспечивать связь этих контейнеров.
Что появилось нового в третьей версии:
Поддержка более чем одного окружения (исходного и целевого)
Поддержка MST и иконок для миграции приложений Windows 10
Поддержка приложений размером более 2 ГБ
Поддержка сенсоров и сценариев при миграции
Поддержка объектов Continuous Delivery Pipelines
Скачать VMware Forklift for Workspace ONE UEM можно по этой ссылке.
В октябре прошлого года компания VMware объявила о покупке компании Carbon Black, занимающейся информационной безопасностью на уровне облака (cloud-native endpoint protection platform, EPP). Решение это позволяет обнаруживать угрозы на стороне рабочих станций, анализировать их на стороне облака и предпринимать действия по защите инфраструктуры десктопов предприятия. Это не антивирус, не сетевой экран, а...
На сайте проекта VMware Labs появилось еще кое-что интересное - утилита App Finder for Tunnel. С помощью данного средства можно настраивать отдельные приложения для использования функции Workspace ONE Tunnel на Mac OS.
Как известно администраторам Workspace ONE, работающим с функциями Unified Endpoint Management (UEM), для отдельных приложений можно настраивать VPN-туннель (добавить их в whitelist), чтобы не гонять через VPN весь трафик устройства пользователя.
При настройке туннеля для приложений в консоли Workspace UEM в разделе VMware Tunnel нужно настроить следующие параметры:
Friendly name
Package ID
Designated requirement
Path (используется только для некоторых дистрибутивов без зарегистрированных бандлов, таких как Curl или ssh)
App Finder for Tunnel поддерживает Drag&Drop интерфейс для перетаскивания приложений в контейнер, который дает возможность получить приведенную выше информацию о приложении и подставить ее в консоль Workspace UEM:
Для работы App Finder for Tunnel поддерживается Mac OS 10.11 или выше. Скачать утилиту можно по этой ссылке.
Многие из вас, прочитав заголовок этой новости, не вспомнят продукта Dynamic Environment Manager у VMware. Но тут все просто - так теперь называется решение по управлению пользовательскими окружениями на уровне ОС VMware User Environment Manager (напомним, что о прошлой версии UEM 9.8 мы писали вот тут).
В Dynamic Environment Manager 9.9 появилось всего пара нововведений: во-первых, это функция Active Directory Attribute Condition. Она позволяет проверить соответствует ли заданный аттрибут Active Directory заданному критерию.
Ну и, во-вторых, это расширенная конфигурация для сбора логов и диагностики продукта:
Скачать VMware DEM 9.9 можно по этой ссылке. Кстати, очень крутое руководство по продукту находится тут.
Что касается VMware App Volumes 2.18, то тут появились следующие новые возможности:
Централизованное управление задачами - администраторы могут использовать вкладку Jobs в разделе Activity графического интерфейса App Volumes Manager для тонкой настройки задач в больших инсталляциях. Более подробно об этом рассказано здесь.
Появилась поддержка ОС Windows Server 2019.
Была добавлена поддержка протокола IPv6.
Обновилась подсистема безопасности.
Добавлена поддержка накатывания апгрейда серверов App Volumes Manager 2.18 на более поздние версии.
Скачать VMware App Volumes 2.18 можно по этой ссылке. Release Notes находятся здесь.
Недавно мы писали о выходе серьезного обновления платформы виртуализации и доставки ПК и приложений в инфраструктуре предприятия VMware Horizon 7.9. Одновременно с этим вышли и обновления клиентов - VMware Horizon Clients 5.1. Также мы упоминали, что вышли новые версии User Environment Manager 9.8 и App Volumes 2.17. В App Volumes практически не появилось ничего нового, а вот в UEM 9.8 есть много всего интересного. Напомним, что о User Environment Manager 9.6 мы писали вот тут.
Давайте, посмотрим на список новведений и улучшений:
1. Дополнительные умные политики (Smart Policies).
Теперь можно включить или выключить воспроизведение аудио, которое применяется для протоколов Blast и PCoIP. Также через умные политики можно оптимизировать протокол Blast Extreme. Кроме того, можно настраивать механизм Drag and Drop. Для работы всех этих функций вам потребуется Horizon agent версии 7.9 или более поздней.
2. Поддержка условий для регулярных выражений.
Теперь в UEM 9.8 есть регулярные выражения при настройке умных политик, а также механизм определения условий, который очень ценен при составлении шаблонов поиска:
Пользователи продуктов AppSense и RES уже знакомы с этим механизмом регулярных выражений, теперь они появились и в UEM.
3. Новая опция Chrome Client при задании условия для Endpoint Platform.
Теперь для устройств Chrome появилось 2 новых опции - настройка Chrome ARC++ для Android-приложений, исполняемых на устройстве, а также Chrome Native для нативного клиента.
Для этой опции вам понадобится Horizon Client 5.1 или более поздней версии. Доступна эта возможность для устройств с протоколами Chrome Horizon Blast и PCoIP (Citrix ICA пока не поддерживается).
4. Поддержка Amazon FSx.
В этой версии UEM появилась полная поддержка файловой системы Amazon FSx for Windows File Server, которая представляет собой нативную облачную ФС для машин на базе Windows Server. Это упрощает развертывание инсталляций User Environment Manager для гибридных облаков, построенных на базе технологий VMware и Amazon (см. VMC on AWS).
Скачать VMware User Environment Manager 9.8 можно уже по этой ссылке, Release Notes доступны тут.
На днях компания VMware выпустила третий пакет обновления для предыдущего поколения своей главной платформы виртуализации - VMware vSphere 6.5 Update 3. Напомним, что Update 2 вышел в мае прошлого года, так что давно было уже пора выпускать апдейт, так как версия 6.5 по-прежнему широко используется, особенно в крупных предприятиях.
Давайте посмотрим, что нового в vSphere 6.5 U3.
Новые функции vCenter 6.5 Update 3:
События о добавлении, удалении и модификации пользовательских ролей содержат информацию о пользователе, который производит изменения.
Улучшения возможностей аудита в компоненте VMware vCenter Single Sign-On - теперь появились события для следующих операций: управление пользователями, логин, создание групп, изменение источника идентификации, управление политиками. Доступна эта фича только для виртуального модуля vCSA с интегрированным Platform Services Controller. Поддерживаемые источники идентификации: vsphere.local, Integrated Windows Authentication (IWA) и Active Directory over LDAP.
Поддержка новых внешних баз данных - добавлена поддержка Microsoft SQL Server 2014 SP3.
Драйвер ixgben добавляет функцию queue pairing для оптимизации эффективности CPU.
С помощью ESXi 6.5 Update 3 вы можете отслеживать использование лицензий и обновлять топологию коммутаторов. Также улучшения можно увидеть в Developer Center клиента vSphere Client.
Поддержка устаревших серверов AMD Zen 2.
Множество обновлений драйверов устройств: lsi-msgpt2, lsi-msgpt35, lsi-mr3, lpfc/brcmfcoe, qlnativefc, smartpqi, nvme, nenic, ixgben, i40en и bnxtnet.
Поддержка Windows Server Failover Clustering и Windows Server 2019.
Добавлено свойство com.vmware.etherswitch.ipfixbehavior в распределенные виртуальные коммутаторы, чтобы позволить пользователям выбирать способ трекинга входящего и исходящего трафика. Значение 1 включает сэмплирование для входящего и исходящего трафика, значение 0 включает его только для исходящего (значение по умолчанию).
Если вы ожидали среди возможностей чего-то действительно нового - увы, этого не бывает. VMware надо развивать ветку vSphere 6.7 и следующие версии платформы. Скачать VMware vSphere 6.5 Update 3 можно по этой ссылке.
Какие еще продукты VMware были обновлены параллельно с этим релизом:
На сайте проекта VMware Labs появилось очередное обновление - Workspace ONE UEM SCIM Adapter. С помощью этого средства администратор получает возможности управления пользователями, группами и правами доступа SCIM в инфраструктуре решения Workspace ONE UEM.
Это средство представляет собой middleware, которое транслирует интерфейс System for Cross-Domain Identity Management (SCIM) во фреймворк CRUD REST, который может интерпретировать средство Workspace ONE UEM. Эта возможность позволяет Workspace ONE UEM синхронизировать облачные сервисы идентификации (пользователи/группы/назначения прав) без необходимости дополнительной интеграции LDAP (service to service model). Такими примерами являются решения Azure AD, Okta и Sailpoint.
Примеры развертывания данного средства можно посмотреть в следующих статьях:
На сайте проекта VMware Labs появилась полезная многим Enterprise-администраторам утилита Workspace One UEM Workload Migration Tool. Она позволяет провести бесшовную миграцию конфигураций приложений и устройств между различными окружениями Workspace One UEM.
Нажатием одной кнопки можно переместить конфигурации среды приемочного тестирования UEM в производственную среду предприятия, без необходимости вводить информацию об исходном и целевом окружении и загрузки файлов. Все это существенно уменьшает время на исполнение цикла ввода обновлений пользовательских окружений в эксплуатацию.
Для успешного выполнения миграции вам потребуется:
Сетевое соединение между двумя площадками.
Компьютер с Windows 10.
2 рабочих окружения Workspace One UEM.
Учетные данные администратора (API credentials) и разрешения (API permissions) для обоих окружений.
Скачать Workspace One UEM Workload Migration Tool можно по этой ссылке.
На сайте проекта VMware Labs очередное интересное обновление - утилита Policy Enforcer. Она позволяет проверять пользовательские настройки политик на их машинах под управлением Workspace ONE и возвращать эти настройки к заданным параметрам.
Policy Enforcer проверяет политики Content Security Policy (CSP, политики защиты контента) в ОС Windows 10 на соответствие заданным в консоли Mobile Device Management (MDM) решения Workspace ONE, и, если пользователь их изменил через редактор реестра, возвращает их к нужным значениям ключей реестра.
Policy Enforcer можно развернуть на машинах пользователей с помощью MSI-пакета PolicyEnforcerInstaller.msi через консоль UEM (User Environment Manager) и установить как внутреннее приложение (internal app) в разделе Apps & Books (Applications > Native).
При развертывании этого сервиса настройку App delivery method нужно выставить в Auto.
Далее на машине пользователя специальная служба будет следить за изменением ключей реестра для политик MDM:
Скачать Workspace ONE Policy Enforcer можно по этой ссылке.
Недавно мы писали о выпуске обновленной платформы виртуализации настольных ПК предприятия VMware Horizon 7.7. Мы уже рассказали о новых возможностях продукта для развертывания приложений App Volumes 2.15, а сегодня приведем список новых функций решения VMware User Environment Manager (UEM) 9.6.
Напомним, что о версии Workspace ONE UEM 9.6 для мобильных устройств мы уже писали вот тут, а сегодня посмотрим, что нового появилось в версии UEM для инфраструктуры настольных компьютеров:
1. Улучшения механизма Folder Redirection.
Раньше перенаправление папок работало только для заранее заданных путей и нельзя было переназывать их имена в системе, куда логинится пользователь. Теперь же можно выбрать как путь источника (причем по любому пути), так и имя папки назначения, куда перенаправляется исходная папка.
Это позволяет, например, использовать имя папки Documents (и прочих) на языке операционной системы пользователя:
2. Логирование изменений, внесенных в конфигурационные файлы.
Теперь администратор системы может смотреть историю всех изменений, происходивших с конфигурационными файлами UEM. Для них логируются события создания, обновления, импорт/экспорт, переименование, удаление и тому подобное (однако, что именно изменилось не логируется).
События можно отправлять как в лог событий Windows, так и в локальный Changelog (можно и в оба одновременно).
3. Улучшения механизма умных политик Horizon Smart Policy for Printing.
Об умных политиках мы писали детально вот тут. Политика Smart Policy for Printing контролирует, разрешено ли пользователю распечатывать документ из виртуального ПК на сетевом или USB-принтере, присоединенном к клиентскому компьютеру.
Ранее эта возможность была доступна только для механизма ThinPrint, а теперь она поддерживает и VMware Virtual Print redirection, анонсированный в Horizon 7.7. В зависимости от того, какой агент установлен на виртуальном ПК, умная политика выбирает нужный движок виртуальной печати.
VMware Virtual Print redirection позволяет:
Печатать с виртуального ПК на любом локальном или сетевом принтере, установленном в клиентской системе.
Использовать Location-based printing, то есть подключать устройства, которые ближе всего к пользователю физически.
Сохранять настройки пользователя между сессиями к виртуальному ПК, например, опцию печати в черно-белом режиме.
4. Новая переменная окружения для архивов пользовательских профилей.
Теперь в UEM 9.6 появилась переменная UEMProfileArchives, которую могут использовать различные сценарии для нахождения папки с архивами пользовательского профиля.
5. Поддержка Using Conditions в ОС Windows Server 2019.
Теперь UEM 9.6 поддерживает обработку условий логина в Windows Server 2019, таких как местоположение пользователя, его группа или клиентское устройство. Этот механизм рассмотрен в видео выше.
Скачать VMware User Environment Manager 9.6 можно по этой ссылке.
Это может пригодиться, например, при перемещении профилей пользователей из окружения для разработки и тестирования в производственную среду по завершении цикла тестирования.
Чтобы собрать необходимые данные для соединения с консолями UEM нужно сделать следующее:
Получить API URL источника и назначения в настройках консоли UEM: All Settings -> System -> Advanced -> URLS -> Rest API
Получить Tenant Key источника и назначения: All Settings -> System -> Advanced -> API -> REST API -> API Key (admin)
Создать административного пользователя и экспортировать сертификат на источнике и назначении. Для этого идем в Users -> Admins -> Add Admin->
Role – REST API или AirWatch Administrator.
API-> Use Certificate и задаем для него пароль.
Нажимаем Save.
Идем обратно в Admin на вкладке API, чтобы экспортировать сертификат с заданным паролем в формат p12.
Перемещаем 2 сертификата в формате p12 в распакованную папку с утилитой.
Надо помнить, что не все типы профилей поддерживаются для миграций с помощью этой утилиты, поэтому она может выдать ошибку (поскольку некоторые профили AirWatch не поддерживает сам Get Profiles API).
Скачать Workspace ONE UEM Profile Migration Utility можно по этой ссылке.
В конце мая этого года компания VMware выпустила обновленную линейку решений своих продуктов для виртуализации настольных ПК предприятия VMware Horizon 7.5. Одной из составляющих данной линейки был продукт User Environment Manager версии 9.4, о новых возможностях которого мы писали вот тут. Напомним, что этот продукт предназначен для управления пользовательскими окружениями и настройками в рамках инфраструктуры виртуальных ПК.
На днях VMware выпустила финальную версию VMware Workspace ONE User Environment Manager 9.6 для конфигурации мобильных устройств, давайте посмотрим, что в этом продукте появилось нового (а нового немало!):
А именно:
1. Возможность регистрации устройств по QR-кодам.
Теперь пользователь может зарегистрировать устройство как рабочее с помощью сканирования QR-кода. Пока это работает только для Android-устройств.
Чтобы настроить этот механизм, нужно пойти в Devices > Staging & Provisioning > Staging и выбрать Configure Enrollment.
2. Поддержка Biometeric Passcode для Android-устройств.
Теперь в качестве аутентификации можно использовать механизмы распознавания лица или отпечатка пальца. Настроить это можно в разделе Devices > Profiles & Resources > Profiles > Add > Add Profile > Android > Passocde.
3. Упрощенная конфигурация профилей для устройств Samsung.
Теперь стандартные политики Samsung Knox интегрированы в профиль Android Work Managed profile. А именно:
Passcode
Restrictions
Date/Time
APN
Чтобы настроить это, надо пойти в Devices > Profiles & Resources > Profiles > Add > Add Profile > Android и включить настройки OEM.
4. Функция Factory Reset Protection для Android-устройств.
Теперь процедура переназначения устройств новым пользователям существенно упростилась и не требует данных предыдущего аккаунта. Настраивается это здесь: Devices > Profiles & Resources > Profiles > Add > Add Profile > Android > Enterprise Factory Reset Protection.
5. Поддержка одного общего устройства для нескольких пользователей.
Эта важная фича для Android позволяет пользователям делать check-in и check-out на устройстве, что дает возможность сэкономить на самих устройствах и при этом обеспечивает безопасность.
6. Контроль менеджера задач в Chrome OS.
Теперь есть профиль Chrome OS Application Control Profile, который контролирует возможность пользователей завершать задачи в Task Manager. Отключается эта возможность в Devices > Profiles & Resources > Profiles > Add > Add Profile > Chrome OS > Application Control.
7. Режим Verified Device Mode для Chrome OS.
Это новая фича Chrome OS в разделе Chrome OS Security & Privacy profiles, которая убеждается в том, что требования к безопасности соблюдены перед загрузкой устройства. Настраивается это тут: Devices > Profiles & Resources > Profiles > Add > Add Profile > Chrome OS > Security & Privacy (настройка Device Verified Mode Required).
8. Настройки Skip Screen для iOS.
Теперь эта функция предотвращает нотификации для следующих компонентов при работе Apple Setup Assistant:
iMessage и FaceTime
Software Update
Screen Time
Настраивается это тут: Groups & Settings > All Settings > Devices & Users > Apple > Device Enrollment Program.
9. USB Restricted Mode для iOS.
Позволяет превратить Lightning-порт только в порт зарядки, без возможности использования USB, если девайс не разлочили в течение недели. Настраивается это здесь: Devices > Profiles & Resources > Profiles > Add > Apple iOS > Restrictions, функция USB Restricted Mode.
10. Функция Remote View for iOS.
Она позволяет удаленно просматривать экран устройства. Включается так: Devices > List View > [Select Device] > More Actions > Support > Start Remote View.
11. Функции самостоятельного управления приложениями Mac OS.
Это позволяет более гибко и быстро развертывать приложения и давать пользователям возможность локально их удалять. Настраивается в Apps & Books > Applications > Native > Internal > Desired State Management.
12. Улучшенные нотификации об установке приложений.
Теперь администратору приходят нотификации об успешно установленных приложениях, а также статусе обновлений.
13. Удаленная перезагрузка Windows 10.
Через консоль или API можно отправить команду перезагрузки на устройства Windows 10, которая будет исполнена через 5 минут (это позволит сохранить данные пользователям).
14. Консолидированный просмотр OEM-обновлений Windows 10.
Теперь все обновления видно в едином представлении с возможностью фильтрации по типу: audio driver, chipset driver, BIOS updates и другое. Посмотреть это можно в Devices > Lifecycle > Updates > OEM Updates.
15. Ротация сертификатов SSL для VMware Tunnel.
Теперь можно на лету добавить до двух сертификатов для SSL-тоннеля и менять их без остановки работы пользователей.
16. Тип установки Unified Access Gateway (UAG).
Теперь администраторы могу использовать Unified Access Gateway (UAG) как тип установки и настроить Content Gateway на UAG или смигрировать существующий Windows или Linux Content Gateway на UAG. Это настраивается в Groups & Settings > All Settings > Enterprise Integration > Content Gateway.
17. Возможность SAML-аутентификации для отдельных сервисов.
Настроить ее можно в Groups & Settings > All Settings > Enterprise Integration > Directory Services, затем включить Use SAML For Authentication.
18. Отзыв токенов Azure при удалении устройства.
Теперь очистка устройства автоматически удаляет и его Azure-токен. Настраивается это в Accounts > Administrators > Administrator Settings > Directory Services (включить Automatically revoke user tokens when wiping device).
Более подробно о решении VMware Workspace ONE User Environment Manager 9.6 можно узнать по этой ссылке.
Недавно компания VMware выпустила обновленную версию продукта User Environment Manager 9.2 (UEM), предназначенного для управления пользовательскими окружениями и настройками в рамках инфраструктуры виртуальных ПК VMware Horizon. Напомним, что о последней мажорной версии решения UEM 9.0 мы писали вот тут.
Не так давно VMware собрала в кучу видео о новых возможностях UEM 9.2, из которых можно понять, насколько продвинулся этот продукт в плане гибкости и улучшения user experience.
Первое - это технический обзор возможностей VMware User Environment Manager 9.2 Technical Overview (там рассказывается о том, как работает решение, и описывается его архитектура):
Далее уже видео непосредственно о новых возможностях UEM 9.2. В нем раскрывается описание двух основных новых фич - privilege elevation (запрос дополнительных привилегий у пользователя при запуске или установке приложений) и publisher-based rules (блокировка и разрешение приложений издателей). Это первая часть обзора новых возможностей:
Во второй части обзора рассказывается о новых переменных окружения, новых шаблонах конфигурационных файлов для лучшей персонализации настроек и некоторых других моментах:
Далее уже идет подробное видео об использовании механизма повышения привилегий для приложений, требующих повышенные привилегии для запуска, а также для установщиков приложений:
Следующее видео - о механизме блокировки приложений и разрешения их запуска от конкретного издателя на базе его сертификата:
Ну и заключительное видео - об использовании новых переменных окружения, в том числе для скриптов, автоматизирующих рутинные операции:
Скачать VMware User Environment Manager 9.2 можно уже сейчас по этой ссылке.
На прошедшей на прошлой неделе конференции VMworld 2016 в Лас-Вегасе компания VMware анонсировала новую стратегию в развитии решений для конечных пользователей - Unified Endpoint Management.
Напомним наши прошлые новости с конференции VMworld - раз, два, три и четыре.
Прежде всего, Unified Endpoint Management - это идейный продолжатель технологии AirWatch, а ее конечной целью является сведение воедино средств управления корпоративными приложениями, мобильными устройствами и десктопами пользователей.
Какие возможности включает в себя Unified Endpoint Management:
1. Управление конфигурациями.
Эти средства представляют собой комплекс средств для управления любыми устройствами на базе Windows 10. Для этого создан специальный портал - windowsuem.com. Средства UEM позволяют использовать средства конфигурации Windows-устройств на базе политик и оркестрировать их применение.
2. Единый каталог сервисов и приложений.
С помощью каталога пользователь может выбрать совместимое с его устройством приложение, получить его через веб-клиент, а также использовать средства Single-Sign On для доступа к каталогу.
3. Упаковка приложений средствами App Stack.
App Stack - это технология известная по решению VMware App Volumes. С помощью нее можно будет доставлять Win32-приложения на конечные десктопы пользователей. Сама технология претерпит значительные изменения при ее интеграции в UEM.
4. Возможности управления патчами.
Новые средства управления обновлениями OS Patch Management позволят организовать патчинг приложений и ОС (традиционных и мобильных), а также проверку систем на соответствие заданному уровню обновлений, без необходимости содержания инфраструктуры Windows Systems Update Service (WSUS).
5. Улучшенные возможности поддержания работоспособности клиента и безопасность.
Благодаря этим возможностям администраторы смогут выполнять следующие операции:
Определить необходимый набор приложений (trusted apps), для которых можно оставить данными открытыми или зашифровать их.
Определить безопасные зоны для хранения чувствительных корпоративных данных.
Гибкое создание слоев безопасности на уровне предприятия, что позволяет разрешать или запрещать обмениваться чувствительной информацией определенным группам пользователей.
Технологии Unified Endpoint Management были пока еще только анонсированы, по мере их появления о них будут рассказывать вот на этом ресурсе.
Среди новых возможностей UEM 9.0 основными являются следующие:
Smart Policies - умные политики для устройств пользователей при различных комбинациях условий логина. Эти политики позволяют, в зависимости от способа логина пользователя, применять к его устройству и окружению те или иные правила. Например, пользователю, который логинится через публичную сеть, разумно отключить копирование на USB-устройство, перенаправление клавиатуры и возможность печати. Также можно, например, кастомизировать полосу пропускания по протоколу PCoIP, в зависимости от типа логина пользователя.
App Authorization - это возможность для администраторов авторизовать или заблокировать исполнение приложения на устройстве пользователя в зависимости от большого набора правил и политик, основанных на различных условиях. Эти условия могут проверяться при логине пользователя, а также через заданные промежутки времени.
Seamless application personalization and configuration - возможность расширенной настройки приложений как для нативных программ, так и для виртуализованных пакетов VMware ThinApp (а также и других вендоров решений для виртуализации приложений). Блочить приложения для пользователей можно как для онлайн, так и для офлайн-выполнения.
Улучшения управления данными пользователей.
Интересная штука появилась в User Environment Manager 9.0 - подключаемые шаблоны конфигурации приложений. Оказывается у VMware есть специальное комьюнити, где выкладываются уже готовые параметры конфигурации приложений под UEM.
Вот они тут:
Просто скачиваете нужные вам zip-файлы с шаблоном конфигурации используемого вами приложения, а далее идете в раздел Configure консоли управления UEM. Там нужно настроить шаренную папку, в которой у вас будут лежать конфигурации приложений:
Далее просто добавьте скачанные zip-файлы в папку \\<file server>\Config\general\Applications:
Далее просто откройте снова Management Console и нажмите кнопку "Refresh tree", чтобы шаблоны конфигурации приложений появились у вас в консоли:
Скачать пробную версию VMware User Environment Manager 9.0 можно по этой ссылке.
RSS
